佳宜客户管理软件 v2.05 注册算法分析
这几天老想找个东西破破，无奈加密都太高明，我又太弱
下午逛 WZ，看到去年发的一个帖子(当时是发个破解混分数)，后面有人求新版破解。
于是把新版下载下来研究
发现注册判断一点也没有变
给 MessageBoxA 设断点，随便输入注册码，断住后跳出 MessageBoxA 本身，然后再跳出一层函数，往上看，就找到了判断的地方：
005ED03D 0F85 FE000000 jnz 005ED141
上次是直接把这个 jnz 改成 jmp 的
现在仍然这么做，还是有效，任意注册码可注册成功
这个软件判断注册成功的时候会把正确的注册信息写入注册表，所以下次再开原版也没关系。
本来想就这么搞，继续混一分的。后来想想这太没追求了，于是开始一句一句看。
具体分析如下（里面好多都没用，只是我当时不知道哪些有用哪些没用，一句句看下来了）：
005ECF4C 55 push ebp
005ECF4D 68 B2D15E00 push 005ED1B2
005ECF52 64:FF30 push dword ptr fs:[eax]
005ECF55 64:8920 mov dword ptr fs:[eax], esp
005ECF58 8D55 F0 lea edx, dword ptr [ebp-10] ; EDX="hNG"
005ECF5B 8B45 FC mov eax, dword ptr [ebp-4] ; EAX=01660A70
005ECF5E 8B80 04030000 mov eax, dword ptr [eax+304] ; EAX=[EAX+304]=[01660D74]=01656380
005ECF64 E8 3F1BE6FF call 0044EAA8
005ECF69 8B45 F0 mov eax, dword ptr [ebp-10] ; EAX=0163906C="abcd"
005ECF6C 8D55 F4 lea edx, dword ptr [ebp-C] ; [ebp-C]=00000000
005ECF6F E8 18C8E1FF call 0040978C ; 去除用户名首尾空格
005ECF74 837D F4 00 cmp dword ptr [ebp-C], 0 ; [ebp-C]=0163B2D0="abcd"
005ECF78 75 22 jnz short 005ECF9C
005ECF7A 6A 00 push 0
005ECF7C 68 C0D15E00 push 005ED1C0
005ECF81 E8 2AFBFEFF call <jmp.&PunUnitLib.ShowMess> ; 提示填写用户名称
005ECF86 8B45 FC mov eax, dword ptr [ebp-4]
005ECF89 8B80 04030000 mov eax, dword ptr [eax+304]
005ECF8F 8B10 mov edx, dword ptr [eax]
005ECF91 FF92 C0000000 call dword ptr [edx+C0]
005ECF97 E9 B1010000 jmp 005ED14D
005ECF9C 8D55 E8 lea edx, dword ptr [ebp-18] ; EDX=0012F39C, [EDX]=00000000
005ECF9F 8B45 FC mov eax, dword ptr [ebp-4] ; EAX=01660A70
005ECFA2 8B80 FC020000 mov eax, dword ptr [eax+2FC] ; EAX=[01660D6C]=01662F58, [EAX]=004331E8
005ECFA8 E8 FB1AE6FF call 0044EAA8 ; 不知道在干嘛
005ECFAD 8B45 E8 mov eax, dword ptr [ebp-18] ; EAX=0163B2D0="1234"
005ECFB0 8D55 EC lea edx, dword ptr [ebp-14] ; [ebp-14]=00000000
005ECFB3 E8 D4C7E1FF call 0040978C ; 去除注册码首尾空格
005ECFB8 837D EC 00 cmp dword ptr [ebp-14], 0 ; [ebp-14]=01646B4C="1234"
005ECFBC 75 22 jnz short 005ECFE0
005ECFBE 6A 00 push 0
005ECFC0 68 D4D15E00 push 005ED1D4
005ECFC5 E8 E6FAFEFF call <jmp.&PunUnitLib.ShowMess> ; 提示输入注册码
005ECFCA 8B45 FC mov eax, dword ptr [ebp-4]
005ECFCD 8B80 FC020000 mov eax, dword ptr [eax+2FC]
005ECFD3 8B10 mov edx, dword ptr [eax]
005ECFD5 FF92 C0000000 call dword ptr [edx+C0]
005ECFDB E9 6D010000 jmp 005ED14D
005ECFE0 A1 94A96300 mov eax, dword ptr [63A994] ; EAX=[0063A994]=00639D44
005ECFE5 8B00 mov eax, dword ptr [eax] ; EAX=[00639D44]=005DCB44="6J9Y-K3H7"
005ECFE7 E8 0080E1FF call 00404FEC ; 不知道在干嘛
005ECFEC 50 push eax ; EAX=005DCB44="6J9Y-K3H7"
005ECFED 8D55 E4 lea edx, dword ptr [ebp-1C] ; [ebp-1C]=00000000
005ECFF0 8B45 FC mov eax, dword ptr [ebp-4] ; EAX=01660A70
005ECFF3 8B80 F4020000 mov eax, dword ptr [eax+2F4] ; EAX=[01660D64]=01662C98, [EAX]=004331E8
005ECFF9 E8 AA1AE6FF call 0044EAA8 ; 不知道在干嘛
005ECFFE 8B45 E4 mov eax, dword ptr [ebp-1C] ; EAX=[ebp-1C]=0165EC18="WD-WCARY0610755"
005ED001 E8 E67FE1FF call 00404FEC ; 不知道在干嘛
005ED006 50 push eax ; EAX=0165EC18="WD-WCARY0610755", 机器码
005ED007 E8 D4FAFEFF call <jmp.&PunUnitLib.GetRegPass>; 算注册码
005ED00C 8BD0 mov edx, eax ; EDX=EAX=01512524="6J9Y-5353-K3H7-7303"
005ED00E 8D45 F8 lea eax, dword ptr [ebp-8] ; [ebp-8]=[0012F3AC]=00000000
005ED011 E8 167DE1FF call 00404D2C ; [ebp-8]=0165EC34=正确注册码
005ED016 8D55 DC lea edx, dword ptr [ebp-24] ; [ebp-24]=00000000
005ED019 8B45 FC mov eax, dword ptr [ebp-4] ; EAX=[0012F3B0]=01660A70
005ED01C 8B80 FC020000 mov eax, dword ptr [eax+2FC] ; EAX=[01660D6C]=01662F58, [EAX]=004331T8
005ED022 E8 811AE6FF call 0044EAA8 ; 不知道在干嘛
005ED027 8B45 DC mov eax, dword ptr [ebp-24] ; EAX="1234", 错误注册码
005ED02A 8D55 E0 lea edx, dword ptr [ebp-20] ; [ebp-20]=[0012F394]=00000000
005ED02D E8 5AC7E1FF call 0040978C ; 复制字符串？
005ED032 8B45 E0 mov eax, dword ptr [ebp-20] ; EAX=[ebp-20]="1234", 错误注册码
005ED035 8B55 F8 mov edx, dword ptr [ebp-8] ; EDX=0165EC34=正确注册码
005ED038 E8 FB7EE1FF call 00404F38 ; 比较
005ED03D 0F85 FE000000 jnz 005ED141 ; 不同则跳
上面是一段，大体情况已经清楚，注册码中的第一段和第三段是常量，第二段和第四段则是算出来的
下面看算注册码的函数
PunUnitLib.GetRegPass
007D9024 55 push ebp
007D9025 8BEC mov ebp, esp
007D9027 B9 06000000 mov ecx, 6 ; 循环 6 次
007D902C 6A 00 push 0
007D902E 6A 00 push 0
007D9030 49 dec ecx
007D9031 75 F9 jnz short 007D902C ; 循环尾，一共 PUSH 了 12 个 0
007D9033 53 push ebx ; EBX=01628E04="hNG"
007D9034 56 push esi ; ESI=004773E0
007D9035 33C0 xor eax, eax
007D9037 55 push ebp
007D9038 68 F2917D00 push 007D91F2
007D903D 64:FF30 push dword ptr fs:[eax]
007D9040 64:8920 mov dword ptr fs:[eax], esp
007D9043 8D45 EC lea eax, dword ptr [ebp-14]
007D9046 E8 65B5F8FF call 007645B0
007D904B 8D45 F0 lea eax, dword ptr [ebp-10] ; [ebp-10]=[0012F360]=00000000
007D904E 8B55 08 mov edx, dword ptr [ebp+8] ; EDX=[0012F348]=01512400="WD-WCARY0610755"
007D9051 E8 4AB7F8FF call 007647A0
007D9056 8B45 F0 mov eax, dword ptr [ebp-10] ; [ebp-10]=[0012F348]=01512400="WD-WCARY0610755"
007D9059 E8 0AB8F8FF call 00764868 ; 求机器码长度
007D905E 8BF0 mov esi, eax ; ESI=EAX=0000000F
007D9060 85F6 test esi, esi
007D9062 7E 26 jle short 007D908A ; 机器码为空？
007D9064 BB 01000000 mov ebx, 1 ; 记录循环次数(N)，下行开始循环
007D9069 8D4D E8 lea ecx, dword ptr [ebp-18] ; [ebp-18]=[0012F340]=00000000
007D906C 8B45 F0 mov eax, dword ptr [ebp-10] ; EAX="WD-WCARY0610755"
007D906F 0FB64418 FF movzx eax, byte ptr [eax+ebx-1] ; EAX=第N个字符='W'=57h
007D9074 33D2 xor edx, edx
007D9076 E8 F905F9FF call 00769674 ; 数值转字符(十六进制)
007D907B 8B55 E8 mov edx, dword ptr [ebp-18] ; EDX=[ebp-18]=[0012F340]=0051241C="57"
007D907E 8D45 FC lea eax, dword ptr [ebp-4] ; [ebp-4]=[0012F354]=00000000
007D9081 E8 EAB7F8FF call 00764870 ; [ebp-4]=0041241C="57"
007D9086 43 inc ebx
007D9087 4E dec esi
007D9088 75 DF jnz short 007D9069 ; 循环尾
007D908A 8B45 FC mov eax, dword ptr [ebp-4] ; EAX=[ebp-4]=0151243C="57442D574341525930363130373535"
; 原来刚才的循环是把每一个字符的 ASCII 码拼起来
007D908D E8 D6B7F8FF call 00764868 ; 求字符串长度
007D9092 8BF0 mov esi, eax ; ESI=EAX=0000001E
007D9094 85F6 test esi, esi
007D9096 7E 2C jle short 007D90C4 ; 又来判断字符串为空？刚才不是判断过了。。
007D9098 BB 01000000 mov ebx, 1 ; 记录循环次数(N)，下行开始循环
007D909D 8B45 FC mov eax, dword ptr [ebp-4] ; EAX=[ebp-4]=0151243C="57442D574341525930363130373535"
007D90A0 E8 C3B7F8FF call 00764868 ; 求字符串长度, EAX=0000001E
007D90A5 2BC3 sub eax, ebx ; EAX=EAX-N=1D(N=1)
007D90A7 8B55 FC mov edx, dword ptr [ebp-4] ; EDX=[ebp-4]=0151243C="57442D574341525930363130373535"
007D90AA 8A1402 mov dl, byte ptr [edx+eax] ; DL=倒数第N个字符 1st:DL='5'=35h, 2nd:DL='3'=33h
007D90AD 8D45 E4 lea eax, dword ptr [ebp-1C] ; [ebp-1C]=[0012F33C]=00000000
007D90B0 E8 DBB6F8FF call 00764790
007D90B5 8B55 E4 mov edx, dword ptr [ebp-1C] ; 1st: EDX=[ebp-1C]=[0012F33C]=0151242C, [EDX]=00000035
; 2nd: EDX=[ebp-1C]=[0012F33C]=01512468, [EDX]=00000033
007D90B8 8D45 F8 lea eax, dword ptr [ebp-8] ; 1st: [ebp-8]=[0012F350]=00000000
; 2nd: [ebp-8]=[0012F350]=0151242C="5"
007D90BB E8 B0B7F8FF call 00764870 ; 1st: [ebp-8]=[0012F350]=0151242C="5"
; 2nd: [ebp-8]=[0012F350]=0151242C="53"
; 3st: [ebp-8]=[0012F350]=0151242C="535"
; 4th: [ebp-8]=[0012F350]=01512478="5353"
; 5th: [ebp-8]=[0012F350]=01512478="53537"
; ……
007D90C0 43 inc ebx
007D90C1 4E dec esi
007D90C2 75 D9 jnz short 007D909D ; 循环尾
; [ebp-8]=01512478="535373031363039525143475D24475"
; 刚才那个循环把这字符串倒了一下
007D90C4 8D45 FC lea eax, dword ptr [ebp-4] ; EAX=[ebp-4]=0151243C="57442D574341525930363130373535"
007D90C7 50 push eax ; 00764AC0 的参数四，buffer
007D90C8 B9 04000000 mov ecx, 4 ; 参数三，要取的字符数
007D90CD BA 01000000 mov edx, 1 ; 参数二，从第几位开始取
007D90D2 8B45 F8 mov eax, dword ptr [ebp-8] ; 参数一，要取子串的字符串
; EAX=[ebp-8]=01512478="535373031363039525143475D24475"
007D90D5 E8 E6B9F8FF call 00764AC0 ; 取子串。EAX=0012F354, [EAX]=015124A4="5353"
007D90DA 8D45 F8 lea eax, dword ptr [ebp-8]
007D90DD 50 push eax
007D90DE B9 04000000 mov ecx, 4 ; 取 4 位
007D90E3 BA 05000000 mov edx, 5 ; 从第 5 位开始取
007D90E8 8B45 F8 mov eax, dword ptr [ebp-8] ; 还是那串字符串
007D90EB E8 D0B9F8FF call 00764AC0 ; 取子串。EAX=0012F350, [EAX]=015124B8="7303"
007D90F0 8B45 FC mov eax, dword ptr [ebp-4] ; EAX="5353"
007D90F3 E8 70B7F8FF call 00764868 ; 求字符串长度
007D90F8 83F8 04 cmp eax, 4
007D90FB 7D 2F jge short 007D912C ; 长度为 4, 跳到 007D912C。下面是长度小于 4 的处理
007D90FD 8B45 FC mov eax, dword ptr [ebp-4] ; 假设机器码只有一个"W"，EAX="75"
007D9100 E8 63B7F8FF call 00764868 ; 求长
007D9105 8BD8 mov ebx, eax ; EBX=EAX=2
007D9107 83FB 03 cmp ebx, 3
007D910A 7F 20 jg short 007D912C ; 大于 3，仍然跳到 007D912C。这个判断似乎又是多此一举？
007D910C 8D4D E0 lea ecx, dword ptr [ebp-20] ; [ebp-20]=[0012F338]=00000000
007D910F 8BC3 mov eax, ebx ; 1st: EAX=EBX=00000002
; 2nd: EAX=3
007D9111 C1E0 02 shl eax, 2 ; 1st: EAX=EAX*4=00000008
; 2nd: EAX=EAX*4=C
007D9114 33D2 xor edx, edx
007D9116 E8 5905F9FF call 00769674 ; 1st: EAX="8"
; 2nd: EAX="C"
007D911B 8B55 E0 mov edx, dword ptr [ebp-20] ; EDX=[ebp-20]=[0012F338]=015124CC, EDX=59390043
007D911E 8D45 FC lea eax, dword ptr [ebp-4] ; 1st: [ebp-4]=015124A4="758"
; 2nd: [ebp-4]=015124A4="758C"
007D9121 E8 4AB7F8FF call 00764870
007D9126 43 inc ebx
007D9127 83FB 04 cmp ebx, 4 ; 没有补到 4 个则继续
007D912A 75 E0 jnz short 007D910C
007D912C 8B45 F8 mov eax, dword ptr [ebp-8]
007D912F E8 34B7F8FF call 00764868
007D9134 83F8 04 cmp eax, 4
007D9137 7D 2F jge short 007D9168
007D9139 8B45 F8 mov eax, dword ptr [ebp-8]
007D913C E8 27B7F8FF call 00764868
007D9141 8BD8 mov ebx, eax
007D9143 83FB 03 cmp ebx, 3
007D9146 7F 20 jg short 007D9168
007D9148 8D4D DC lea ecx, dword ptr [ebp-24]
007D914B 8BC3 mov eax, ebx
007D914D C1E0 02 shl eax, 2
007D9150 33D2 xor edx, edx
007D9152 E8 1D05F9FF call 00769674
007D9157 8B55 DC mov edx, dword ptr [ebp-24]
007D915A 8D45 F8 lea eax, dword ptr [ebp-8] ; 这里缺位也跟上面一样补，补为 048C
; 不管原来几位最后都是 048C, *48C, **8C, ***C, ****
007D915D E8 0EB7F8FF call 00764870
007D9162 43 inc ebx
007D9163 83FB 04 cmp ebx, 4
007D9166 75 E0 jnz short 007D9148
007D9168 8D45 D8 lea eax, dword ptr [ebp-28] ; [ebp-28]=[0012F330]=00000000
007D916B 8B55 0C mov edx, dword ptr [ebp+C] ; EDX=[0012F364]=005DCB44="6J9Y-K3H7"
007D916E E8 2DB6F8FF call 007647A0
007D9173 8B45 D8 mov eax, dword ptr [ebp-28] ; EAX=[ebp-28]=[0012F330]=01512488="6J9Y-K3H7"
007D9176 8D55 F4 lea edx, dword ptr [ebp-C] ; [ebp-C]=[0012F34C]=00000000
007D9179 E8 DE03F9FF call 0076955C ; [ebp-C]=[0012F34C]=015124A0="6J9Y-K3H7"
007D917E 8D45 D4 lea eax, dword ptr [ebp-2C] ; [ebp-2C]=[0012F32C]=00000000
007D9181 50 push eax
007D9182 B9 04000000 mov ecx, 4
007D9187 BA 01000000 mov edx, 1
007D918C 8B45 F4 mov eax, dword ptr [ebp-C]
007D918F E8 2CB9F8FF call 00764AC0 ; [ebp-2C]=[0012F32C]=015124B8="6J9Y"
007D9194 FF75 D4 push dword ptr [ebp-2C]
007D9197 68 0C927D00 push 007D920C
007D919C FF75 FC push dword ptr [ebp-4]
007D919F 8D45 D0 lea eax, dword ptr [ebp-30]
007D91A2 50 push eax
007D91A3 B9 05000000 mov ecx, 5
007D91A8 BA 05000000 mov edx, 5
007D91AD 8B45 F4 mov eax, dword ptr [ebp-C]
007D91B0 E8 0BB9F8FF call 00764AC0
007D91B5 FF75 D0 push dword ptr [ebp-30] ; [ebp-30]=[0012F328]=015124CC="-K3H7"
007D91B8 68 0C927D00 push 007D920C
007D91BD FF75 F8 push dword ptr [ebp-8]
007D91C0 8D45 EC lea eax, dword ptr [ebp-14]
007D91C3 BA 06000000 mov edx, 6
007D91C8 E8 5BB7F8FF call 00764928 ; 这里就是拼接起来，懒得仔细看了
; 最后是 6J9Y-5353-K3H7-7303
007D91CD 8B45 EC mov eax, dword ptr [ebp-14]
007D91D0 E8 8BB8F8FF call 00764A60
007D91D5 8BD8 mov ebx, eax
007D91D7 33C0 xor eax, eax
007D91D9 5A pop edx
007D91DA 59 pop ecx
007D91DB 59 pop ecx
007D91DC 64:8910 mov dword ptr fs:[eax], edx
007D91DF 68 F9917D00 push 007D91F9
007D91E4 8D45 D0 lea eax, dword ptr [ebp-30]
007D91E7 BA 0C000000 mov edx, 0C
007D91EC E8 E3B3F8FF call 007645D4
007D91F1 C3 retn
007D91F2 E9 1DADF8FF jmp 00763F14
007D91F7 EB EB jmp short 007D91E4
007D91F9 8BC3 mov eax, ebx
007D91FB 5E pop esi
007D91FC 5B pop ebx
007D91FD 8BE5 mov esp, ebp
007D91FF 5D pop ebp
007D9200 C2 0800 retn 8
哈哈，终于熬出头了，再写个
注册机（仅供学习研究，请下载后24小时内删除）
第一次完整地把算法分析出来，真兴奋~
（原发表于 CSDN：https://blog.csdn.net/cnStreamlet/article/details/2505288）
